Phishing: modalità di attacco e come proteggersi

Phishing: modalità di attacco e come proteggersi

Recentemente, alcuni dei nostri clienti ci hanno contattato per notificarci della presenza di certe email nelle loro caselle di posta, presumibilmente provenienti dai servizi di hosting sui quali facciamo affidamento per i nostri siti web.
Queste email, di solito, presentano come corpo principale del testo un avvertimento riguardo i servizi a loro intestati: solitamente, il testo avvisa che c’è un errore con la fatturazione per i servizi o il servizio stesso che risulta essere, a loro detta, scaduto e che va necessariamente rinnovato, pena la perdita di tutti i loro dati hostati sul server.
Questo genere di email è assolutamente non veritiero, in quanto si tratta di un noto schema di truffe su internet denominato “Phishing”.

Phishing: definizione generale

Il phishing è una tattica truffaldina utilizzata da entità anonime che impersonano aziende di alto grado o enti affidabili con lo scopo di ottenere credenziali di accesso e dati finanziari (numeri di carte di credito o credenziali di accesso e-banking) dagli ignari clienti.

Il termine deriva da una variante inglese della parola “fishing” (che significa “pescare”) dato che il malintenzionato usa tattiche specifiche mirate letteralmente a “pescare” i dati personali degli utenti.

Il phishing non usa solo le email come mezzo di attacco, ma può anche servirsi di SMS inviati ai numeri di telefono delle potenziali vittime.

Leggi anche: L’importanza del refresh di un sito web

Phishing: un caso tipico

Esempio di attacco phishing verso un utente

Figura 1: screenshot parziale di un tentato attacco phishing verso un utente tramite impersonazione di un servizio di hosting molto affidabile in Italia, ovvero Serverplan.

Come mostrato nell’immagine, un tipico attacco phishing impersona un’azienda fidata per inviare un’email all’utente.

L’email avvisa come il servizio del cliente sia stato terminato e sia diventato invisibile.

Alla fine del corpo dell’email mostrato nell’immagine è presente un link sul quale è possibile cliccare, e che reindirizzerà a un sito web che non appartiene all’attuale ente impersonato.

Cliccando sul link, la maggior parte delle volte, la pagina mostrata sarà praticamente clonata sia come design che come contenuti da una pagina dell’ente impersonato, per convincere l’utente ad inserire i propri dati personali.

Se un utente dovesse inserire i propri dati in quella pagina, le loro credenziali di accesso o i dati per i pagamenti online (come ad esempio PayPal o carte di credito) saranno compromessi e nelle mani del truffatore, il quale userà i dati ricevuti per poter svuotare il saldo presente sui conti correnti dell’utente o prendere il controllo dell’account le cui credenziali sono state inserite.

A quel punto, se si dovesse incorrere in una simile truffa, bisogna immediatamente contattare le banche o il servizio al quale l’account appartiene per tentare di arginare il danno.

Phishing: come proteggersi dagli attacchi

Nel caso in cui si incorra in uno di questi attacchi, le pratiche da seguire sono molto semplici.

  • Leggere attentamente il testo dell’email: molto spesso il testo di questi messaggi sarà pieno di errori ortografici; ciò include la formattazione del testo da un punto di vista della punteggiatura o la stessa ortografia delle parole utilizzate. Inoltre, dato che questi testi molto spesso sono autogenerati tramite l’ausilio di bot programmati, il testo presenterà diverse contraddizioni: ad esempio, nell’immagine mostrata sopra, l’email afferma che il servizio è diventato “invisibile”, ma nella seconda parte del testo l’email chiede di cliccare sul link per evitare che il servizio diventi “invisibile”. Una email da parte di un ente affidabile molto raramente, se non in nessun caso, commetterebbe errori simili in una comunicazione ai propri utenti.
  • Non rispondere alle email. Evitare contatti con il malintenzionato è fondamentale per garantire la sicurezza dei propri dati personali.
  • Non cliccare su nessun link presente all’interno di queste email ed effettuare operazioni sulla pagina di destinazione del link. Nessun ente chiede mai di inserire dati personali, tramite un link presente in una email, soprattutto dati personali che permettano di effettuare pagamenti online.
  • Cancellare l’email sospetta. Rimuovendo immediatamente l’email dalla propria casella di posta in arrivo, il tentato attacco di phishing risulta completamente annullato (ammesso che non siano state eseguite interazioni con l’email in nessun modo, ad esempio, non cliccando i link al suo interno).

Se si hanno dei dubbi riguardo la natura dell’email sospetta, sarà sufficiente una ricerca online (tramite i motori di ricerca come Google) dell’ente impersonato nell’attacco e contattare il loro servizio clienti per chiedere chiarimenti.

Conclusioni

Gli attacchi phishing sono piuttosto facili da riconoscere e, conseguentemente, prendere precauzioni, ma per le persone ignare dell’utilizzo di tali metodi per la truffa, possono risultare in grossi disagi e problemi per i propri dati personali.

Continuate a seguirci per ulteriori news!

0 commenti

Invia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Apri la chat
1
Salve, come possiamo aiutarti?
Powered by